802.1X + RADIUS — کنترل دسترسی مبتنی بر پورت
تا کاربر احراز نشود، پورت شبکه بسته می‌ماند. سوئیچ هویت را از کاربر می‌گیرد و به سرور RADIUS می‌دهد و سرور علاوه بر پذیرش، VLAN کاربر را هم تعیین می‌کند.
- لایهٔ OSI: 2 (پیوند داده)
- انتقال: EAPOL (لایه ۲) + RADIUS روی UDP
- پورت: 1812 / 1813
- استاندارد: IEEE 802.1X + RFC 2865
- سطح: پیشرفته · حدود 7 دقیقه
نکته‌های کلیدی
- سه نقش: Supplicant (کاربر)، Authenticator (سوئیچ یا AP) و سرور احراز (RADIUS).
- RADIUS علاوه بر احراز، مجوزدهی (VLAN، ACL) و حساب‌داری (پورت ۱۸۱۳) هم انجام می‌دهد.
- در Wi‑Fi سازمانی (WPA2/3-Enterprise) همین سازوکار به کار می‌رود.
مراحل شبیه‌سازی (7 بسته)
- EAPOL-Start: لپ‌تاپ به پورت سوئیچ وصل می‌شود. پورت فقط ترافیک EAPOL را عبور می‌دهد تا کاربر احراز شود.
- درخواست هویت: سوئیچ هویت کاربر را می‌پرسد.
- پاسخ هویت: لپ‌تاپ نام کاربری را می‌فرستد.
- Access-Request: سوئیچ هویت را داخل پیام RADIUS به سرور می‌فرستد. سوئیچ فقط رله است و رمز را نمی‌بیند.
- تونل EAP-TLS: سرور و لپ‌تاپ از طریق سوئیچ یک تونل TLS می‌سازند. گواهی سرور بررسی و هویت کاربر با گواهی (EAP-TLS) یا رمز داخل تونل (PEAP) تأیید می‌شود.
- Access-Accept: احراز موفق است. سرور علاوه بر پذیرش، VLAN کاربر را تعیین می‌کند: کارمندان فروش در VLAN 20.
- EAP-Success: سوئیچ پورت را باز و در VLAN 20 قرار می‌دهد. حالا لپ‌تاپ می‌تواند از DHCP آدرس بگیرد.